Célkeresztben a vállalat

A vállalatok üzletviteléhez nélkülözhetetlen informatikai infrastruktúra mûködését támadások, rosszindulatú programok, szoftverhibák veszélyeztetik; ezek akár komoly károkkal, pótolhatatlan adatok elvesztésével is járhatnak. Összeállításunkban a fenyegetettségeket tekintjük át – s azt, miként védekezhetünk ellenük.

Ha valaki még nem vette vol­na észre: évek óta tartó hábo­rú zajlik az interneten. Igaz, po­kolgépeket nem robbantanak, és túszo­kat sem ejtenek, az okozott kár azonban dollármilliárdokban mérhető. Az inter­net mára több milliónyi számítógépből álló globális hálózattá vált. A szoftve­rek sérülékenységének, a biztonsági hiá-nyosságoknak, valamint a felhasználók és rendszerüzemeltetők hanyagságának következtében azonban ez a világmére­tû hálózat a rosszindulatú programkó­dok terjedését ugyancsak elősegíti, mind több és több kiadást okozva a felhaszná­lóknak. Ezeknek a programoknak a ké­szítői egyre kifinomultabb eszközöket vetnek be az internetes kommunikáció és a vállalatok üzleti tevékenységének a megbénítására.

Folyamatosan zajló versenyfutás alakult ki a támadók és az elhárítók között, az utóbbiaknak szusszanásnyi idejük sincs a pihenésre: elég egy kis kihagyás, és má­ris kész a baj. A sérülékenységek felfede­zése után ugyanis szinte azonnal meg­jelennek az azok kihasználására készült rosszindulatú programok, s a biztonsá­gi rést be kell foltozni, mire támadásba lendülnek. Ugyanez a helyzet a mind na­gyobb számban megjelenő vírusok, fér­gek esetében is: a hatékony védelem ér­dekében elengedhetetlen a vírusellenes programok aláírás-állományának folya­matos frissítése. S mivel a támadók min­dig pár napos előnyben vannak, a kár­okozás nem akadályozható meg teljesen, százszázalékos biztonság nem érhető el.

Fenyegetettségek

Minél bonyolultabb egy szoftver, annál nagyobb a valószínûsége annak, hogy biztonsági rések találhatók benne. Márpe-dig a ma használatos operációs rendsze­rek, webszerverek és felhasználói progra­mok igen összetett szoftverek, és számta­lan időzített bomba ketyeg bennük. A biz­tonsági rések kihasználásával a hackerek ellenőrzést szerezhetnek a megtámadott számítógépek felett, bizalmas adatokat (jelszavakat, hitelkártya- és bankszám­laszámokat) lophatnak el azokról, vagy rosszindulatú programkódot (vírust, fér­get, kémprogramot, trójai falovat) he­lyezhetnek el rajtuk. A megszerzett ada­tokat eladhatják, a titokban telepített programokkal pedig további adatokat szerezhetnek, vagy felhasználhatják azo­kat egy későbbi elosztott szolgáltatásbé­nító (DDoS) támadáshoz. A rosszindula­tú kód a felhasználók figyelmetlenségé­nek vagy tudatlanságának következtében (például levélmelléklettel vagy weboldal­ról letöltött programmal) is megfertőz­heti a rendszert.

A fenyegetettségek elleni védekezés­re szolgáló biztonsági rendszer nélkülöz­hetetlen eleme a vírusellenes program, az adware- és spyware-irtó, a tûzfal, a tit­kosító rendszer és az azonosítási rend­szer. Elengedhetetlenül fontos továbbá az informatikai rendszerek biztonságá­nak szempontjából, hogy a szoftvergyár­tók által rendszeresen közzétett javító­csomagokkal megszüntessék az ismertté – s ezáltal támadhatóvá – vált sérülékeny­ségeket.

A mindig a legfrissebb adatállomány­nyal felszerelt vírus-, adware- és spyware-ellenes programokkal megakadályozhat­juk, hogy e-mail-melléklettel, állomá­nyok letöltésével (a webről) vagy a válla­lati hálózaton keresztül programkártevők fertőzzék meg a számítógépeket.

A tûzfal az informatikai rendszer bel­ső és külső kommunikációját szûri, a biz­tonságosnak ítélt bejövő és kimenő ada­tok átvitelét engedélyezi, az ártalmas­nak ítélt információcsomagokat pedig eldobja. A külvilággal való kommuniká­cióra szolgáló, támadható portokat lát­hatatlanná teszi az internet felé, ezáltal a számítógépek erőforrásai elérhetetlen­né válnak.

A titkosítási módszerek a hálózati mun­kaállomásokon és hordozható gépeken tárolt, valamint a nyilvános kommuni­kációs csatornákon (például az interne­ten vagy e-mailben) továbbított bizalmas adatok védelmére szolgálnak. A kommu­nikáció hálózati szintû védelmét bizto­sítják a virtuális magánhálózatok (VPN-ek), amelyek nyilvános hálózaton (inter­neten, telefonhálózaton) alakítanak ki titkosított és hitelesített kommunikációs csatornát.

Alapvetően hozzájárul a biztonságos üzemeltetéséhez az azonosítási rendszer, amely meghatározza a felhasználók jo­gosultságait, nyomon követi és naplóz­za a hálózati tevékenységeket. Az azono­sítás történhet jelszavas, hardveres (kár­tya) vagy biometriai (retina, ujjlenyomat) módszerrel.

Minden védelmi megoldás akkor tud a leghatékonyabban mûködni, ha mögötte szabályozott környezet található.

Biztonságtechnikai audit

A szabályozott biztonsági környezet ki­alakítása úgy kezdődik egy cégnél, hogy megvizsgálják, milyen értékû informá­ciók birtokában vannak, megóvásuk ér­dekében indokolt-e pénzt költeni védel­mi megoldásra, és ha igen, milyen szintû legyen a védelem. Alapvető cél egy válla­latnál az üzleti folyamatok biztonságossá tétele; ezt a filozófiát követve először azt szükséges felmérni, hogy milyen üzleti tevékenységek folynak, és ezeket hogyan valósítják meg. A következő lépésben azt kell meghatározni, hogy milyen kockáza­tokkal járnak ezek az üzleti folyamatok,

és a kockázatok miképpen minimalizál­hatók. Ezek alapján készül el a vállalati biztonsági politika, illetve kerül sor a biz­tonsági rendszer kiépítésére.

Ezen a ponton a cég úgy ítélheti meg, hogy a biztonsági politika betartatása és a létrehozott infrastruktúra megfelelő vé­delmet nyújt. A kiemelt védelmet igény­lők számára találták ki az informatikai rendszerben lévő támadható pontok ki­szûrésére szolgáló sérülékenységvizsgála­tot, valamint a legmagasabb szintû védel­met nyújtó behatolásdetektálást.

Magas szintû védelem

A sérülénységvizsgálat során kívülről és belülről egyaránt támadva feltérképezik az informatikai rendszer gyenge pontjait. A külső vizsgálat olyan sérülékenységek után kutatva teszteli a kommunikációs szolgáltatásokat, az operációs rendszere­ket, a kulcsfontosságú alkalmazásokat és az útválasztókat, amelyek támadások cél­pontjai lehetnek. A belső vizsgálat átte­kinti a jogosultságokat és a jelszóbeállí­tásokat, és megállapítja, hogy milyen ja­vítások szükségesek, illetve milyen szigo­rításokat kell életbe léptetni. Ugyancsak megtörténik az adatbázisok jogosultság­kezelésének, hitelességének és sértetlen­ségének biztonsági elemzése, illetve a biztonsági politikától való eltérések és a veszélyforrások felkutatása.

A sérülékenységvizsgálat azonban csu­pán pillanatfelvételt készít az informati­kai rendszerről, a legmagasabb szintû vé­delem – manapság, amikor hetente kö­zel ötven újabb sérülékenységre derül fény – állandó figyelést igényel. A be­hatolásészlelő szenzorok veszély esetén automatikusan beavatkoznak, és meg­akadályozzák, hogy a támadó kárt okoz­hasson. Támadáskor többféle dolgot te­hetnek: riaszthatnak, megszakíthatják a

kapcsolatot, átkonfigurálhatják a tûzfa­lat, vagy kitilthatják a támadót a rend­szerből. Tûzfalak előtt, mögött, behívó eszközöknél telepítve hálózati szegmen­sek teljes forgalmát, vagy egy gazdagép bejövő és kimenő forgalmát figyelhetik. Hogy a behatolásvédelem ne terhelje le túlságosan a kiszolgálókat és a hálóza­tot, a figyelést azokra a különféle okok­ból – például nem jelent még meg a ja­vítás, vagy a sérülékenység befoltozása zavarokat okozna a mûködésben – nem megszüntethető sérülékeny pontokra le­het irányítani, amelyeket felfedett a sérü­lékenységvizsgálat.

A magas szintû védelem megvalósítása tehát két fő tevékenységből áll. Az egyik egy folyamatosan zajló tervszerû megelő­ző munka, amelynek során feltérképe­zik és kijavítják a sérülékenységeket. Az első sérülékenységvizsgálatnál rengeteg hiányosságra derül fény, ezeket mind ki kell javítani. Ezután következik a további rendszeres ellenőrzést igénylő szinten tartás. Erre egyrészt azért van szükség, mert folyamatosan változik a környezet, újabb gépek, szoftverek kerülnek a háló­zatba, és velük újabb biztonsági rések je­lenhetnek meg. A másik ok az, hogy ál­landóan újabb sérülékenységek válnak ismertté.

Párhuzamosan mûködik a másik fő te­vékenység, a valós idejû behatolásdetek­tálás; folyamatosan figyeli, hogy mi tör­ténik az adott környezetben, milyen mó­don sértik meg a biztonsági politikát.

Minden támadást feljegyez, nem csak azokat, amelyek a sérülékenységek ellen irányulnak. Veszély esetén automatiku­san beavatkozik, és különféle módszerek­kel megakadályozza a károkozást.

Redmondi intézkedések

A világszerte a legtöbbek által használt Microsoft-fejlesztésû operációs rendsze­rek és programok a támadások fő cél­pontjai. A sérülékenységek kijavításának gyenge hatásfoka, valamint a nagyobb megbízhatóság és a biztonságos üzemel­tetés iránti felhasználói igény arra ösztö­nözte a világ legnagyobb szoftvergyártó­ját, hogy tavaly elindítsa „Megbízható szá­mítástechnika” nevû kezdeményezését.

A Microsoft ezzel kapcsolatos állásfog­lalása elismeri ugyan a saját felelősségét, de hangsúlyozza, hogy a hálózatba kö­tött eszközök és az internetes szolgáltatá­sok biztonságossá tételéhez a teljes ipar­ágnak össze kell fognia, és sok évnek kell még eltelnie a mai helyzet gyökeres meg­változásáig. Mindenesetre a cég – sokak szerint jócskán elkésve – a legfontosabb­ként minősítette a biztonságot, és négy pillérre épülő keretrendszert hozott lét­re a felhasználók biztonsági problémái­nak megoldására.

A „biztonságos szerkezet” fejlesztési elv keretében arra törekszenek, hogy szoftvereik már felépítésüknél fogva biz­tonságosabbak legyenek. Ennek érdeké­ben meglévő kódokat vizsgáltak át, illet­ve továbbképzéseket tartottak, amelyeken az alkalmazottai­kon kívül iparági partnereik és külső fejlesztők is részt vettek. A Microsoft fejlesztői ezentúl felelősséget vállalnak az álta­luk írt programok biztonsá­gosságáért, és az új termékek bevezetési folyamatának szer­ves része lett a biztonsági el­lenőrzés.

Alapvető szemléleti változást jelent a „biztonságos alapbe­állítások” koncepció. Lényege az, hogy a szoftverek telepí­tés utáni alapállapota egyben a legbiztonságosabb konfigurá­ció, vagyis nem a felhasználóra hárul az alapvető biztonsági beállítások elvégzése. A nemrég megjelent Windows XP második javítócsomagja már ennek a koncepciónak a jegyében készült, így például a beépített tûzfal alapértelmezés szerint be van kapcsolva. A támadások si­kerének egyik legfőbb oka, hogy a cégek nem telepítik az ismert sérülékenysége­ket megszüntető javítócsomagokat.

A „biztonságos bevezetés” koncepció­val a Microsoft elkötelezettséget vállalt arra, hogy felhasználói biztonságosan te­lepíthessék és üzemeltethessék a termé­keit, továbbá a Windows Update webhely és az automatikus frissítési funkció révén automatikusan hozzájussanak a bizton­sági javításokhoz. A nagyobb cégek biz­tonsági frissítéseit szolgálja a Software Update Services (SUS) szolgáltatás és a Systems Management Server 2.0 SUS Feature Pack csomag, míg a Baseline Security Analyzer nevû eszközzel átvizs­gálható a rendszer, és megállapíthatók a biztonsági hiányosságok.

Végezetül a negyedik pillér a felhasz­nálók jobb tájékoztatása biztonsági kér­désekben. Korábban ugyanis sok gond adódott abból, hogy a felhasználók nem tudták eldönteni, melyik javítás a leg­fontosabb, melyiket kell előbb telepíteni. Ezért a Microsoft súlyozást dolgozott ki, és az informatikusoknak szóló tájékozta­tók mellett a végfelhasználók igényeinek megfelelő mûszaki színvonalú tájékozta­tókat is közzétesz. A rendszeres informá­ciót igénylők számára biztonsági tájékoz­tatót küldenek.

Bottal üthetik…

A biztonsági szoftverek gyártójaként is­mert Symantec októberben tette közzé az internetes veszélyekről szóló legújabb jelentését, amely az internetes támadá­sokra, a sérülékenységekre és a rosszin­dulatú programokra az év első felében jellemző tendenciákat foglalja össze. Az Internet Security Threat Reportot a cég évente kétszer publikálja, a mostani kiadás a hatodik a sor­ban. A jelentés megállapítá­sai a több mint 180 országban telepített mintegy 20 ezer há­lózati figyelőeszköz által szol­gáltatott információn alapul­nak. A Symantec több mint 120 millió számítógépről, ki­szolgálóról és átjáróról gyûjti a rosszindulatú programkódot az azokon telepített víruselhá­rító termékeivel.

A jelentés megállapítja, hogy a támadók egyre gyorsabban és egyre kifinomultabb mód­szerekkel dolgoznak: 2004 első felében a sérülékenységek be­jelentése és a kihasználásukra írott programkód megjelenése között átlagosan csupán 5,8 nap telt el.

A potenciális célpontoknak egy hétnél is kevesebb idejük van a sérülékenységek kijavítására. Tovább tetézi a gondokat, hogy jócskán megnövekedett az úgyne­vezett bottal fertőzött rendszerek száma. A bot (elnevezése a robot szóból szárma­zik) olyan program, amelyet titokban telepítettek a megcélzott számítógépre annak érdekében, hogy távolról vezérel­jék azt. Az elmúlt hat hónap során a tele­pített botok átlagos napi száma kevesebb mint 2000-ről több mint 30 ezerre nőtt. A támadók a botok által felügyelt rend­szerek nagy csoportjait (más néven bot­hálózatokat) irányítják. Mihelyt egy sé­rülékenység bejelentése után kijön az azt kihasználó kód, a bothálózat irányítója frissíti a botokat, amelyeket aztán a sérü­lékeny rendszerek felkutatására, majd el­osztott támadások indítására használ.

Már a haszonszerzés a cél

Az év első felében az incidensek 16 szá­zalékával az e-kereskedelem volt a legin­kább támadott terület. Az előző hat hó­nap 4 százalékához képest ez 400 száza­lékos (!) növekedést jelent. A növekedés mögött az a tendencia áll, hogy a ma­gamutogatásra, bravúroskodásra szolgá­ló támadásokat mind inkább felváltják az anyagi haszonszerzést célul kitûző be­hatolások. Ezt támasztja alá a jelszóha­lászati (phishing) tevékenység és az in­formációlopásra használt kémszoftverek számának növekedése. Bármi is legyen a támadók célja – személyes adatok be­gyûjtése, pénzlopás vagy a cég megzsaro­lása – az internetes jelenléttől nagymér­tékben függő vállalatok első számú cél­pontjai az irányított támadásoknak.

A cégeknél százszámra használt webes alkalmazások sérülékenységeinek közel 82 százaléka viszonylag egyszerûen ki­használható, emiatt valósággal vonzzák a támadásokat. A Symantec előrejelzé­se szerint a közeljövőben várhatóan nőni fog a szerveroldali támadások száma.

Mészáros Csaba